Les frais de communication s’entendent principalement des frais de communication de crise engagés à la suite d’un incident cyber.Ces frais interviennent généralement très tôt dans la gestion de l’incident. 

Pour cette raison, il est fréquent qu’une partie d’entre eux soit prise en charge dans le cadre de l’assistance de crise ou des mesures d’urgence, parfois sans application de la franchise pendant une période déterminée, qui varie selon les compagnies, généralement entre 24 et 96 heures.

Pendant cette période, l’assisteur ou le consultant en gestion de crise peut, s’il l’estime nécessaire, intervenir directement ou faire appel à un prestataire spécialisé, notamment membre du panel de l’assureur. L’objectif est alors de fournir des services de communication de crise et de relations publiques destinés à prévenir ou limiter les conséquences négatives de l’incident, notamment sur la réputation de l’assuré.

Compte tenu des enjeux potentiels en matière de responsabilité civile et réglementaire, les communications externes sont généralement préparées en coordination avec les conseils juridiques de l’entreprise et peuvent être revues par les avocats intervenant dans la gestion de l’incident.

La communication de crise constitue une spécialité à part entière, dont le niveau de préparation varie fortement selon les entreprises. Les grandes organisations disposent généralement de procédures dédiées et d’une liste de prestataires spécialisés, parfois préalablement agréés par leur assureur. Une stratégie et un plan de communication cyber peuvent ainsi être formalisés et validés par la Direction en amont de toute crise.

À l’inverse, de nombreuses entreprises ne disposent ni de guide de communication de crise ni de projets rédactionnels préparés à l’avance. Une attention particulière doit alors être portée à cet aspect dès les premières heures de l’incident. La communication doit être pleinement intégrée au dispositif global de gestion de crise.

Le montant des frais engagés dépend notamment du niveau de préparation de l’assuré, de l’ampleur de l’incident et des objectifs poursuivis : protéger la réputation de l’entreprise, réduire la pression médiatique, informer les parties prenantes ou encore anticiper les conséquences d’une divulgation publique.

De manière générale, la stratégie de communication cherchera à être suffisamment proactive pour éviter que l’entreprise soit contrainte de réagir dans l’urgence à des informations partielles, erronées ou déformées. Cet enjeu est particulièrement important en cas de ransomware lorsque les attaquants menacent de publier les données dérobées ou communiquent directement auprès des médias, clients ou partenaires de la victime.

Les frais susceptibles d’être pris en charge peuvent notamment comprendre :

• le conseil en communication de crise : intervention d’un consultant spécialisé, définition de la stratégie, préparation des éléments de langage et du plan de communication ;
• les relations médias et la communication externe : rédaction de communiqués de presse et réponses aux sollicitations des journalistes ;
• la communication auprès des parties prenantes : information des clients, collaborateurs, partenaires ou actionnaires, notamment par la préparation de courriers, messages ou FAQ ;
• la gestion de la réputation : veille des médias et des réseaux sociaux et accompagnement dans la gestion de l’impact réputationnel de l’incident.

Point de vigilance : la communication spécifique auprès des marchés financiers n’est pas systématiquement comprise dans les garanties et doit faire l’objet d’une vérification particulière.

Comme pour les diligences des cabinets d’avocats, les factures présentées au titre des frais de communication dans le cadre de la gestion de crise doivent être suffisamment détaillées. Elles doivent permettre d’identifier les diligences réalisées, les temps passés et, lorsque cela est pertinent, les livrables produits.

Le champ de la communication étant particulièrement large et les garanties variant d’une compagnie à l’autre, l’assuré doit être attentif aux limites de garantie, aux éventuelles sous-limites ainsi qu’à la rédaction précise de la police souscrite.

Une attention particulière doit notamment être portée aux définitions contractuelles des « frais de communication » et des « frais de communication de crise ». Toute dépense qualifiée de communication par l’assuré ne constitue pas nécessairement un frais de communication garanti au sens de la police.

À titre d’exemple, les dépenses engagées pour limiter une atteinte à la réputation de la société souscriptrice à la suite de la découverte, pendant la période d’assurance, d’un événement médiatique peuvent relever d’une garantie distincte d’atteinte à la réputation, lorsqu’une telle garantie est prévue au contrat.

Enfin, sous l’angle de l’expertise, il convient de vérifier que les frais engagés présentent un caractère raisonnable et nécessaire, qu’ils sont directement liés à l’événement garanti et qu’ils répondent à l’objet de la garantie mobilisée.

Ainsi, la refonte de l’image de marque de l’entreprise ou le financement d’une campagne commerciale destinée à reconquérir des clients perdus à la suite d’une cyberattaque ont peu de chances d’être considérés comme des frais de communication de crise au sens d’une police cyber.

Certaines polices prévoient également une limitation dans le temps de la période pendant laquelle les frais d’un expert en communication de crise peuvent être engagés et pris en charge.